如何在ASP.NET Core MVC中获取并验证Azure AD应用角色？

一、先确认基础配置（确保角色能传递到应用） #

首先要保证你的应用能从Microsoft Identity Platform获取到包含角色声明的令牌：

• 已在Azure AD应用注册中创建"admins"应用角色，并给目标用户/安全组分配了该角色
• 在Program.cs的身份认证配置里，使用AddMicrosoftIdentityWebApp时，默认会把应用角色以http://schemas.microsoft.com/ws/2008/06/identity/claims/role类型的声明传递到应用中，无需额外配置。

二、用[Authorize]属性直接验证角色 #

完全可以用[Authorize]属性做角色验证，常用两种方式：

1. 控制器级验证 #

给整个控制器添加属性，仅拥有"admins"角色的用户能访问该控制器下所有动作：

[Authorize(Roles = "admins")]
public class AdminController : Controller
{
    // 控制器动作逻辑
}

2. 动作级验证 #

单独给某个动作添加属性，限制仅指定角色能访问：

public class HomeController : Controller
{
    [Authorize(Roles = "admins")]
    public IActionResult AdminDashboard()
    {
        return View();
    }
}

如果需要多个角色满足其一，可用逗号分隔：[Authorize(Roles = "admins, editors")]

三、手动检查用户角色 #

在代码逻辑（控制器、视图或服务类）中，可手动校验当前登录用户的角色：

1. 用User.IsInRole方法 #

这是最简便的方式：

public IActionResult SomeAction()
{
    if (User.IsInRole("admins"))
    {
        // 执行管理员专属逻辑
    }
    else
    {
        // 普通用户逻辑或返回无权限页面
        return Forbid();
    }
}

2. 直接检查Claims集合 #

需要精细控制时，可遍历用户声明集合：

using System.Security.Claims;

// ...

var hasAdminRole = User.Claims.Any(c => 
    c.Type == ClaimTypes.Role && 
    c.Value == "admins");

if (hasAdminRole)
{
    // 管理员逻辑
}

3. 在视图中检查 #

Razor视图里也能直接判断：

@if (User.IsInRole("admins"))
{
    <div class="admin-only-menu">
        <!-- 管理员专属菜单/内容 -->
    </div>
}

注意事项 #

• 必须确保目标用户/组已在Azure AD中被分配"admins"应用角色，否则用户令牌中不会包含该角色声明
• 若角色验证不生效，可通过JWT解析工具检查令牌内容，确认role声明是否存在且值为"admins"

内容的提问来源于stack exchange，提问作者John John